Für rund 29.500 Einrichtungen gelten nach Angaben des BSI erstmals gesetzliche Cybersicherheitspflichten – zugleich besteht bei vielen Unternehmen noch Unsicherheit über die eigene regulatorische Einordnung.
Mit dem deutschen NIS2-Umsetzungsgesetz wurden die europäischen Vorgaben in nationales Recht überführt. Seit dem 6. Dezember 2025 gelten erweiterte Anforderungen an Cybersicherheit, Risikomanagement und das Melden erheblicher Sicherheitsvorfälle. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) ergeben sich für rund 29.500 wichtige und besonders wichtige Einrichtungen erstmals gesetzliche Cybersicherheitspflichten. Laut Cyber Security Report 2026 von Schwarz Digits haben schätzungsweise 48 Prozent der potenziell von NIS2 betroffenen Unternehmen ihre mögliche regulatorische Betroffenheit bislang nicht erkannt.
„Viele Unternehmen verbinden NIS2 noch immer ausschließlich mit klassischer kritischer Infrastruktur“, sagt Jörg Dießner, Managing Director bei citrus. „Das greift zu kurz. Die Frage lautet nicht: ‚Sind wir KRITIS?‘ Sondern: ‚Fallen wir aufgrund unserer Tätigkeit, Größe und weiterer Kriterien unter die neuen Vorgaben?‘ Wer das bislang nicht geprüft hat, sollte es jetzt tun.“
Für mittelständische Unternehmen stellt sich damit vor allem die Frage, wie sie ihre Betroffenheit verlässlich einordnen und daraus konkrete technische und organisatorische Maßnahmen ableiten können.
Nicht nur klassische KRITIS-Unternehmen betroffen
Während das bisherige BSI-Gesetz einen deutlich kleineren Kreis von Einrichtungen erfasste, erweitert die Neuregelung den Anwendungsbereich erheblich. Das novellierte BSI-Gesetz erfasst wichtige und besonders wichtige Einrichtungen aus insgesamt 18 Sektoren. Dazu zählen unter anderem Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT- und Telekommunikationsdienste sowie Teile des verarbeitenden Gewerbes.
Ob ein Unternehmen unter die neuen Vorgaben fällt, hängt vor allem von seiner konkreten Tätigkeit und seiner Größe ab. Als erste Orientierung gilt: Unternehmen aus erfassten Bereichen sollten ihre Betroffenheit prüfen, wenn sie mindestens 50 Beschäftigte haben oder sowohl Jahresumsatz als auch Jahresbilanzsumme jeweils über zehn Millionen Euro liegen. Für bestimmte Einrichtungsarten, größere Unternehmen und Sonderfälle gelten abweichende Regeln.
Das BSI stellt mit seiner NIS2-Betroffenheitsprüfung einen offiziellen Fragenkatalog zur ersten Einordnung bereit. Das Ergebnis bietet Orientierung, ersetzt bei Grenzfällen oder komplexen Unternehmensstrukturen jedoch keine rechtliche Prüfung.
Auch für Unternehmen, die selbst nicht unmittelbar unter die Neuregelung fallen, können sich Berührungspunkte ergeben. Regulierte Unternehmen müssen die Risiken in ihrer Lieferkette berücksichtigen und können deshalb von Dienstleistern, IT-Partnern und Zulieferern zusätzliche Sicherheitsnachweise, Fragebögen oder vertragliche Zusicherungen verlangen.
Cybersicherheit ist Chefsache
Das BSI-Gesetz weist der Unternehmensleitung ausdrücklich Verantwortung zu. Geschäftsleitungen betroffener Einrichtungen müssen die erforderlichen Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Zudem sieht das Gesetz regelmäßige Schulungen vor. Verletzen Mitglieder der Geschäftsleitung diese Pflichten schuldhaft, können sie gegenüber der eigenen Einrichtung zum Ersatz des entstandenen Schadens verpflichtet sein.
Verstöße können zudem mit erheblichen Bußgeldern geahndet werden. Je nach Einrichtungsart sind Höchstbeträge von sieben beziehungsweise zehn Millionen Euro oder umsatzabhängige Sanktionen vorgesehen.
Das BSI-Gesetz verpflichtet wichtige und besonders wichtige Einrichtungen zur Registrierung beim BSI – spätestens drei Monate, nachdem sie erstmals oder erneut die Voraussetzungen für die jeweilige Einstufung erfüllen. Für Unternehmen, die bereits beim Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 betroffen waren, endete diese Frist am 6. März 2026. Unternehmen, die ihre Betroffenheit bislang übersehen und die für sie geltende Frist versäumt haben, sollten die Registrierung unverzüglich nachholen und die mit ihrer Einstufung verbundenen Pflichten prüfen.
In fünf Schritten zur ersten Einordnung
citrus empfiehlt mittelständischen Unternehmen, die eigene NIS2-Betroffenheit systematisch zu prüfen:
Geschäftstätigkeit zuordnen: Gehört das Unternehmen zu einer im
BSI-Gesetz genannten Einrichtungsart oder übt es eine entsprechende
Tätigkeit aus?
Unternehmensgröße ermitteln: Relevant sind Beschäftigtenzahl,
Jahresumsatz und Jahresbilanzsumme – gegebenenfalls auch auf Ebene
verbundener oder Partnerunternehmen.
Sonderregeln prüfen: Je nach Branche, Unternehmensstruktur oder
Einrichtungsart können abweichende Vorgaben gelten.
BSI-Betroffenheitsprüfung nutzen: Der offizielle Fragenkatalog schafft eine
erste, nachvollziehbare Orientierung; bei komplexen Fällen ersetzt er
keine rechtliche Prüfung.
Pflichten und Lücken bewerten: Ist ein Unternehmen betroffen, müssen
Registrierung, Risikomanagement, Meldeprozesse, Verantwortlichkeiten und
die erforderliche Dokumentation geprüft und die gesetzlichen Anforderungen
umgesetzt beziehungsweise erfüllt werden.
„Die Betroffenheitsprüfung ist kein bürokratischer Selbstzweck“, so Dießner. „Sie ist der Ausgangspunkt für eine belastbare Sicherheitsstrategie. Unternehmen sollten danach nicht bei der Frage stehen bleiben, ob sie betroffen sind. Sie müssen klären, welche Prozesse und Schutzmaßnahmen bereits tragen – und wo sie nachsteuern müssen.“
Im Mittelpunkt stehen dabei unter anderem Backup- und Wiederherstellungsprozesse, Zugriffsrechte, Netzwerksicherheit, Schwachstellenmanagement, die Reaktion auf Sicherheitsvorfälle sowie die Absicherung von Dienstleistern und Lieferketten. Gerade bei komplexen Unternehmensstrukturen oder Unsicherheiten über den technisch-organisatorischen Handlungsbedarf kann eine externe fachliche Analyse helfen. Unabhängig von einer gesetzlichen NIS2-Pflicht sollten Unternehmen ihre Cybersicherheit regelmäßig überprüfen und weiterentwickeln.
Weitere Informationen: www.citrus.tel
**citrus – IT, die einfach funktioniert.**
Die cs communication systems GmbH (citrus) ist ein IT-Dienstleister und Managed Service Provider mit Hauptsitz in Marburg und weiteren Standorten in Pleidelsheim, Taucha und Nürnberg. Seit 1990 unterstützt citrus mittelständische Unternehmen mit modernen und zuverlässigen IT-Lösungen. Das Leistungsspektrum reicht von Managed IT Services über Cloud-Telefonie und Microsoft 365 bis hin zu IT-Security, Netzwerklösungen und Server Management. Als Tochtergesellschaft der 3U HOLDING AG steht citrus für persönliche Betreuung, technische Kompetenz und IT ohne unnötiges Drama.
Kontakt
citrus – cs communication systems GmbH
Mandy Ebisch
Benzstraße 12
74385 Pleidelsheim, Deutschland
0714488460
https://citrus.tel/
- BSI (Wikipedia)
BSI steht für: Back side illumination (rückwärtige Belichtung), eine Konstruktionstyp von Halbleiter-Bildsensoren Body-Shape-Index, ein Index zur Bewertung des Körperfettanteiles eines Menschen British Standards Institution, britische Normungsorganisation BSI SA, eine Schweizer Privatbank (eh. Banca della Svizzera Italiana) Bundesamt für Sicherheit in der Informationstechnik, eine deutsche Behörde Bundesverband der Deutschen Spirituosen-Industrie und -Importeure, Lobbyverband der deutschen Spirituosenbranche Bundesvereinigung Spitzenverbände der Immobilienwirtschaft, Zusammenschluss von Interessenverbänden der Wohnungs- und Immobilienbranche Powiat Siemiatycki in der Woiwodschaft Podlachien, Polen (Kfz-Kennzeichen) BSÍ steht für: Umferðarmiðstöðin BSÍ, oft kurz BSÍ, isländischer Busbahnhof bSI steht für: buildingSMART International, Interessenverband für Informationsverarbeitung im Bauwesen Siehe auch: BSI-Kompaktkupplung, Vorrichtung zum Verbinden von Schienenfahrzeugen - Cybersicherheit (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-Standard NIST 800. Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - KRITIS (Wikipedia)
Infrastrukturen, die eine wesentliche Bedeutung für die Aufrechterhaltung gesellschaftlicher Funktionen haben, werden als kritische Infrastrukturen bezeichnet. Diese verdienen besonderen Schutz. Zu kritischen Infrastrukturen zählen beispielsweise die Versorgung mit Lebensmitteln, Energie und Wasser. - mittelstand (Wikipedia)
Als (gewerblicher) Mittelstand werden im deutschsprachigen Raum (mit Ausnahme der Schweiz, siehe Mittelschicht) je nach gewählter Definition die Gesamtheit aller Unternehmen bezeichnet, die als kleines oder mittleres Unternehmen gelten (nicht mehr als 500 Beschäftigte und nicht mehr als 50 Mio. € Jahresumsatz), oder bei denen noch mindestens ein wirtschaftlich unabhängiges Gründungsmitglied beteiligt ist. Eine allgemein gültige und akzeptierte Definition gibt es nicht. Der Ausdruck aus der Ständegesellschaft bekam diese Hauptbedeutung erst in jüngeren Jahren. Im Duden steht er noch im Jahre 2001 für die Mittelschicht. Besonders in der Schweiz wird er weiterhin so benutzt. Mangels äquivalenter Übersetzungen hat das Wort als Lehnwort mittelstand in die englische und spanische Sprache Eingang gefunden. - NIS2 (Wikipedia)
NIS2 steht für: NIS-2-Richtlinie der Europäischen Union betreffend Cybersicherheit (zweite Netzwerk- und Informationssicherheitsrichtlinie) NiS2 steht für: Nickeldisulfid - Risikomanagement (Wikipedia)
Das Risikomanagement übernimmt in Unternehmen das Management von Unternehmensrisiken durch deren Risikoidentifikation, Risikoanalyse, Risikoquantifizierung, Risikoaggregation, Risikobeurteilung, Risikobewertung, Risikokommunikation und abschließende Risikobewältigung.
